科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道网络安全Web应用防火墙会使企业安全策略复杂化吗?

Web应用防火墙会使企业安全策略复杂化吗?

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

尽管有很多媒体都有关于使用web应用防火墙的报道,但是我们必须了解这些设备只是解决企业网络安全问题的一部分。本文主要介绍使用web应用防火墙的问题。

来源:TechTarget中国 2011年2月28日

关键字: Web应用防火墙 安全策略

  • 评论
  • 分享微博
  • 分享邮件

  尽管有很多媒体都有关于使用web应用防火墙的报道,但是我们必须了解这些设备只是解决企业网络安全问题的一部分。即使如此,用户还必须知道web应用防火墙问题大量存在着。

  一直以来,管理层都有一个误解,他们认为只要有防火墙,网络就会正常。而且经销商会更加误导这种错误的理解,他们推崇web应用防火墙作为最佳解决方案——同时可以实现PCI DSS的需求。实际上,和其他周边-中央安全设备一样,如果web应用防火墙没有合理地设置来保护所需的一切的话,包括外部和局域网上-----他们很可能会创建错误的安全检测。

  web应用防火墙可以保证基于Web的恶意软件不踏足你的企业内部。它也可以阻止黑客利用漏洞进入OSI第7层,反过来说,它可以防止进一步的侵入。然而,对于web应用防火墙还存在一些问题。

  使用web应用防火墙的问题

  WAF最显著的问题是它不能阻止某些必须防范的攻击。WAFs声称可以通过渗透测试工具来检测攻击,如用Metasploit来获取一台未打补丁的web服务器的远程命令提示符或者轻松下载编译开发代码来触发OpenSSL缓冲溢出区。其实这也未必---特别是当攻击通过SSL实现时。

  WAF也会被误用来解决已知的安全问题,虽然他们不能真正的解决。比如,我最近遇到的情况,有人想部署WAF来解决隐码攻击。短期内这没什么,但依靠虚拟补丁并不能真正修复。事实上,这种做法会掩盖问题,久而久之导致更大的安全隐患。

  除了web应用防火墙还有其他选择吗?

  如果你考虑在你的环境中添加WAF,请首先考虑你的现有设备。使用另一个物理设备可能会增添复杂性,而复杂性是安全的天敌。许多基础防火墙都有HTTP检测功能。找找看你有没有像WAF一样的功能。我看过类似的很多案例,这些设备本来就有WAF功能,而用户却不知道。当然把WAF功能作为单独模块添加到现存的防火墙中也是有可能的。

  使用web应用防火墙的方法

  只是开启WAF功能并不能保护你所有的网络。为了最优化你的配置,你必须清楚你运行的基于Web的系统平台(包括其他人管理的系统)。你还要了解你Web应用程序上的业务逻辑。白名单和行为分析技术发现某些WAFs适合创建具体的应用信息,但是这个过程会很复杂。

  一个很好的调整保护的方法是使用Web弱点扫描工具,如AcunetixWeb弱点扫描器或WebInspect,然后设置测试用例,包括用WAF保护和不用WAF保护。一旦一切设置完成,最好在通过自动扫描和手动分析来建立全面的Web弱点评估系统。

  总之,保持简单是很重要的。这意味着在你的现存防火墙上使用WAF控制,或者需要浪费时间在很多不同的经销商上,看谁的方案能最好的满足你和公司的需求。或者根本不需要WAF-----至少从目前来看是这样的。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章